Veilig & verantwoord
Veilig werken met AI
begint bij vertrouwen
Hoe ga je om met persoonsgegevens, wie houdt de regie en wat wordt bewaard? Bij Mensora is veiligheid een uitgangspunt, geen toevoeging.
Het uitgangspunt
AI ondersteunt.
De professional beslist.
De professional blijft verantwoordelijk voor inhoud, beoordeling en beslissing. Human in the Loop is de normale werkwijze, geen instelling die je eerst aanzet.
Elk verslag is een concept tot de professional het heeft gecontroleerd en vastgelegd.
Privacy als uitgangspunt
Gegevensbescherming hoort
vanaf het begin in de inrichting
In het sociaal domein wordt dagelijks omgegaan met privacygevoelige informatie, zoals gezondheid, schulden, werk en bestaanszekerheid. Toegang, bewaartermijnen en verantwoordelijkheden horen daarom bij de inrichting.
Europees taalmodel
PIA werkt met Mistral, een Europese keuze die past bij de visie van Mensora op datasoevereiniteit.
Bewaartermijnen in eigen hand
In de beheeromgeving stel je het bewaarbeleid voor je organisatie in.
Toegang per rol
Met de autorisaties bepaal je wie welke gesprekken en verslagen kan zien.
Kennis blijft van jullie
Gespreksdata en kennis blijven binnen de organisatie, ook als iemand vertrekt.
Toegang
Inloggen met
tweefactorauthenticatie
Wie in PIA werkt, logt in met een tweede factor. Die extra verificatiestap zorgt ervoor dat gesprekken en verslagen optimaal beschermd zijn.
In de beheeromgeving bepaal je daarnaast wie welke gesprekken en verslagen mag zien.
Grip op de informatieketen
Van opname tot verslag:
per stap bepaal je wat er bewaard blijft
Elke stap kan een eigen bewaartermijn krijgen. Het bewaarbeleid stel je zelf in, en transcripts kun je anonimiseren.
- OpnameBewaartermijn instelbaar
- TranscriptTe anonimiseren
- ConceptverslagGemaakt door PIA
- Definitief verslagGecontroleerd door de professional
AI, AVG en AI-verordening
Veilige AI is meer
dan alleen de AVG
De AVG gaat over persoonsgegevens. De Europese AI-verordening vraagt daarnaast om transparantie, menselijk toezicht, risicobeheersing en AI-geletterdheid. Veilige AI is daarom niet alleen een ICT-vraagstuk, maar ook een vraagstuk van bestuur en organisatie.
Mensora helpt die vragen te beantwoorden, met een veilig platform én begeleiding. We beginnen klein, evalueren regelmatig en bouwen samen verder.
Vragen die organisaties zichzelf stellen
- Wanneer gebruiken we AI wel en wanneer niet?
- Welke informatie mag worden verwerkt?
- Wie controleert de uitkomsten?
- Hoe voorkomen we dat ieder zijn eigen werkwijze ontwikkelt?
- Hoe blijft de kwaliteit behouden?
AI-verordening
Wat geldt wanneer,
na de Digital Omnibus
De Europese AI-verordening gaat in fases in. Sinds de Digital Omnibus (Verordening 2026/1744, in werking op 27 juli 2026) zijn de data voor hoog-risico-AI verschoven. Veel websites noemen nog 2 augustus 2026; dat klopt niet meer.
Is AI-verslaglegging hoog risico? Lees de toelichting
Is AI-verslaglegging hoog risico?
AI die helpt beslissen over uitkeringen en publieke voorzieningen valt onder bijlage III, punt 5(a). In de concept-richtlijnen van de Europese Commissie (19 mei 2026) staat precies dit voorbeeld: een systeem dat een gesprek met een aanvrager omzet in tekst en een samenvatting maakt, valt binnen 5(a), maar is géén hoog risico zolang de professional bij het gesprek is en de samenvatting kan controleren. Systemen die mensen profileren zijn altijd hoog risico.
Let op: dit zijn concept-richtlijnen en geen juridisch advies. Laat de afweging voor jullie eigen inzet toetsen door jullie jurist of FG.
AI-geletterdheid
Sinds 2 februari 2025 moeten organisaties werken aan de AI-geletterdheid van hun medewerkers. Na de Omnibus is dat een plicht om maatregelen te nemen, zonder vast niveau per medewerker. De AP adviseert een meerjarig plan: systemen in kaart brengen, doelen bepalen, uitvoeren, evalueren.
- 1 augustus 2024In werking
Verordening (EU) 2024/1689 treedt in werking en gaat gefaseerd gelden.
- 2 februari 2025Verboden praktijken en AI-geletterdheid
De eerste verplichtingen gelden.
- 2 augustus 2025Regels voor algemene AI-modellen
Governance en regels voor GPAI-modellen.
- 27 juli 2026Digital Omnibus
Verordening 2026/1744 vereenvoudigt de regels en verschuift data.
- Augustus 2026Transparantieregels
Melden dat iemand met AI communiceert en AI-content markeren.
- 2 december 2027Hoog-risico, bijlage III
Onder meer werk en toegang tot publieke diensten.
- 2 augustus 2028Hoog-risico, bijlage I
AI in gereguleerde producten.
Bronnen: Europese Commissie · AI Act Service Desk, art. 4 · AP: AI-geletterdheid
AVG in de praktijk
Wanneer is een DPIA nodig,
en mag je een gesprek opnemen?
Bij AI-verwerking in het sociaal domein is een DPIA vaak aan de orde
Een DPIA is verplicht als een verwerking waarschijnlijk een hoog privacyrisico oplevert. Op de AP-lijst van verplichte DPIA’s staan grootschalige verwerking van gezondheidsgegevens (nr. 7) en samenwerkingsverbanden die gevoelige gegevens uitwisselen, “bijvoorbeeld in wijkteams” (nr. 8). Daarnaast geldt de vuistregel: voldoe je aan twee of meer van de negen EDPB-criteria, zoals gevoelige gegevens, kwetsbare betrokkenen of nieuwe technologie, dan doe je een DPIA. De DPIA-verplichting ligt primair bij de verwerkingsverantwoordelijke. Mensora biedt daarbij ondersteuning.
Samengevat: PIA is geen hoog-risicosysteem in de zin van de AI-verordening, zolang de professional bij het gesprek is en het verslag controleert. Of jullie gebruik een hoog privacyrisico oplevert, hangt af van hoe en waarvoor je PIA inzet. Voldoe je aan twee of meer van de negen EDPB-criteria, dan doe je een DPIA. Mensora ondersteunt je daarbij.
Een gesprek opnemen kan, mits er een geldige grondslag is en betrokkenen vooraf goed worden geïnformeerd
Bij het opnemen van gesprekken spelen drie regels een rol:
- De AVG. Een geluidsopname van een gesprek bevat persoonsgegevens, dus de AVG is van toepassing. Er moet een geldige grondslag zijn om het gesprek op te nemen, zoals toestemming van de betrokkene, een wettelijke verplichting, een publieke taak of een gerechtvaardigd belang.
- Het Wetboek van Strafrecht. Volgens artikel 139a is het strafbaar om zonder toestemming een gesprek op te nemen waaraan je zelf niet deelneemt. Neem je zelf deel aan het gesprek, dan is opnemen in principe toegestaan, maar moet je wel rekening houden met de AVG, zoals bij punt 1 beschreven.
- Toestemming en transparantie. In de praktijk is de belangrijkste regel: vertel de gespreksdeelnemer vooraf dat het gesprek wordt opgenomen en waarvoor. Dat is zowel een AVG-vereiste als een kwestie van behoorlijk handelen. Een melding alleen op de website is volgens de AP onvoldoende.
In de context van PIA
- Deelnemers aan het gesprek worden vooraf geïnformeerd.
- Er is een verwerkersovereenkomst met Mensora.
- De opname wordt na verwerking verwijderd, volgens de afgesproken bewaartermijnen.
Meer over de verwerkersovereenkomst
De verwerkersovereenkomst
Laat je een partij gegevens in opdracht verwerken, dan sluit je een verwerkersovereenkomst met de opdracht, wat de verwerker wel en niet mag, beveiliging en afspraken over datalekken. Het overheidsbrede standpunt over generatieve AI noemt daarbij ook afspraken over bewaren en het al dan niet hertrainen van modellen.
- BeschrijvingWelke gegevens, van wie, voor welk doel en hoe de verwerking loopt.
- Noodzaak en evenredigheidIs AI-verslaglegging nodig en in verhouding tot het doel?
- Risico’s voor betrokkenenWat kan er misgaan voor inwoners en medewerkers?
- MaatregelenHoe je de risico’s beperkt en laat zien dat je de AVG naleeft.
Heeft je organisatie een FG, dan is diens advies verplicht en hoort het in het DPIA-rapport.
Bronnen: AP: DPIA · AP: lijst verplichte DPIA
Shadow AI
Niets doen
is ook een risico
Zonder veilige voorziening kiezen medewerkers zelf een tool. Dan belanden persoonsgegevens in gratis diensten en verliest de organisatie grip. Verantwoord faciliteren is dus ook risicobeheersing.
“Het grootste risico is niet dat medewerkers AI gebruiken. Het grootste risico is dat de organisatie niet weet dát ze AI gebruiken.”
Downloads
Verder lezen?
Neem het mee
Alles over privacy, de AVG en de AI-verordening in één document, plus een checklist voor je eigen organisatie.
Veelgestelde vragen over AI en privacy
Neemt AI beslissingen over cliënten of inwoners?
Nee. PIA maakt een conceptverslag, de professional controleert en beslist. Human in the Loop is de normale werkwijze: de professional blijft verantwoordelijk voor de inhoud, de beoordeling en de uiteindelijke beslissing.
Welk taalmodel gebruikt PIA?
PIA werkt met Mistral als onderliggend taalmodel. Dat is een Europese keuze, die past bij de visie van Mensora op datasoevereiniteit.
Kunnen we zelf bepalen hoe lang gesprekken bewaard blijven?
Ja. In de beheeromgeving stel je het bewaarbeleid voor je organisatie in. Opname, transcript en verslag zijn verschillende informatie; transcripts kun je bovendien anonimiseren.
Wie kan de gesprekken en verslagen zien?
Dat bepaal je zelf. In de beheeromgeving leg je met autorisaties vast welke rol toegang heeft tot welke informatie. Daar regel je ook de privacyinstellingen en licenties.
Hoe gaan jullie om met de DPIA en de verwerkersovereenkomst?
Gemeenten en organisaties in het sociaal domein vragen hier terecht om. We nemen het in de voorbereiding samen met jullie FG, CISO en ICT door, zodat de inrichting past bij jullie eigen kaders voordat de eerste gebruikers starten.
Maak kennis met Mensora
Claim een adviesgesprek
voor jouw organisatie
Plan je gesprek, daarna weet je precies:
- Hoeveel tijd jouw professionals kunnen besparen
- Waar de risico’s liggen
- Of we een match zijn
Bennie Miedema
Sales manager
Plan een gratis adviesgesprek
100% gratis. Je zit nergens aan vast. We gebruiken je gegevens alleen om contact met je op te nemen (privacyverklaring).